CSRF Token kullanabilirsin. Lakin aşılabiliyor, ek olarak javascript ile bir session oluşturabilirsin. Belirttiğin session adında bir session yoksa o sessionu oluşturması ve sayfayı yenilemesi adına bir if koşulu girebilirsin. Ayrıca belirtilen session koduna sahip değillerse post işlemini engelleyebilirsin..